【SC試験】DDoS攻撃と対策 — 午前I・午前II・午後 問題セット

正解： ア）

解説：

• ア）正解。SYN flood攻撃は、送信元IPアドレスを偽装（IPスプーフィング）したSYNパケットを大量に送りつけ、サーバがSYN/ACKを返した後のACK応答を待つ「半開状態（half-open）」の接続をバックログキューに滞留させることで、正規の接続要求を処理できなくする攻撃である。
• イ）不正解。ACKパケットの大量送信（ACK flood）は帯域や処理資源を消費させる攻撃だが、ルーティングテーブルの書き換えとは無関係である。
• ウ）不正解。TCPの帯域は輻輳制御やウィンドウサイズで管理されており、FINパケットの有無で帯域が「無制限に拡張」されることはない。
• エ）不正解。SYNパケット自体は本来ペイロードを持たない制御パケットであり、これは後述するDNSアンプ攻撃など別の増幅攻撃の説明と混同した誤り選択肢である。

正解： イ）

解説：

• ア）不正解。これはDNSキャッシュポイズニングの説明である。DNSアンプ攻撃とは別の脅威であり、目的（可用性低下 vs 名前解決結果の汚染）も異なる。
• イ）正解。DNSアンプ攻撃は、送信元IPアドレスを攻撃対象に偽装（IPスプーフィング）した問い合わせをオープンリゾルバ（誰でも利用できる再帰的DNSサーバ）に送信し、問い合わせサイズに比べて応答サイズが大きくなるレコードタイプ（ANY、TXT、DNSSEC関連のRRSIG等）を要求することで、反射（リフレクション）と増幅（アンプリフィケーション）を組み合わせて攻撃対象に大量トラフィックを送りつける手法である。増幅率は数十倍に達することもある。
• ウ）不正解。ゾーン転送（AXFR）の悪用は情報漏えい（内部ホスト情報の窃取）を目的とした別の攻撃であり、DDoSの一種であるアンプ攻撃とは目的が異なる。
• エ）不正解。TCP接続の枯渇を狙う攻撃はDNSに限らず一般的なコネクションフラッドの説明であり、DNSアンプ攻撃の本質である「反射・増幅」の要素を含んでいない。

正解例：

攻撃名：DNSアンプ（DNSリフレクション/増幅）攻撃

狙い：①小さな問い合わせで大きな応答を反射させ通信量を増幅するため。②攻撃元を多数のDNSサーバに分散させ発信元の特定・遮断を困難にするため。（65字目安、2観点で60字程度に収める）

解説： 攻撃者は送信元IPアドレスをY社のものに偽装した問い合わせを多数のオープンリゾルバへ送ることで、（1）ANYやTXTレコードなど応答サイズの大きいレコードを利用した「増幅」効果でY社へ送りつけるトラフィック量を実際の攻撃通信量より大きくでき、（2）攻撃元が特定のIPアドレスに集中しないため単純な送信元IPベースの遮断（ブラックリスト化）が効きにくく、真の攻撃者の特定も困難になる、という2つの利点を得ている。

解説・採点基準（計15点）：

部分点：攻撃名が「DDoS攻撃」など一般名称にとどまる場合は2点。観点が1つのみ正確に書けていれば当該観点分のみ加点する。

正解例： CDNのDDoS対策は、攻撃トラフィックを地理的に分散した複数拠点（エッジ）で受け止め・吸収し、正規サーバへの到達自体を遮断する。WAFは正規サーバ手前でHTTPリクエストの中身を検査し、アプリケーション層の不正な攻撃パターンを遮断する。（約110字→要約して80字以内に調整）

解説： CDN事業者のDDoS対策サービスは、世界中に分散配置されたエッジサーバ（スクラビングセンター）で大量トラフィックを受け止め、帯域を消費するボリューム型攻撃（SYN flood、DNSアンプ攻撃等）をオリジンサーバに到達する前に吸収・遮断することを主目的とする。一方WAFは、HTTPリクエストのヘッダやボディの内容を解析し、SQLインジェクションやアプリケーション層のHTTP flood（L7 DDoS）など、通信量だけでは判別できない不正なリクエストパターンを検知・遮断する。両者は防御対象のレイヤ（ネットワーク/トランスポート層 vs アプリケーション層）が異なるため、併用することで多層防御となる。

解説・採点基準（計15点）：

部分点：CDNとWAFいずれか一方の説明のみ正確な場合はその項目分のみ加点。「多層防御」への言及があれば違いの明示として加点対象とする。